Enterprise Server 3.20 は、現在リリース候補として使用できます。

シークレット スキャンからのアラートの表示とフィルター処理

リポジトリの シークレットスキャン アラート を検索してフィルター処理する方法について説明します。

この機能を使用できるユーザーについて

リポジトリの所有者、組織の所有者、セキュリティ マネージャー、および 管理者 ロールを持つユーザー

この記事で

シークレットスキャン は、リポジトリの [セキュリティ ] タブから検索してフィルター処理できます。アラートと発生する可能性があるさまざまな種類の詳細については、 シークレット スキャン アラートについて を参照してください。

アラートの表示

secret scanning のアラートは、リポジトリの [セキュリティ] タブに表示されます。

  1. GitHub で、リポジトリのメイン ページに移動します。

  2. リポジトリ名の下にある [Security] をクリックします。 [Security] タブが表示されない場合は、 ドロップダウン メニューを選んでから、[Security] をクリックします。

    タブを示すリポジトリ ヘッダーのスクリーンショット。 [セキュリティ] タブが濃いオレンジ色の枠線で強調表示されています。

  3. 左側のサイドバーの [Vulnerability alerts] (脆弱性アラート) で、 [Secret scanning] をクリックします。

  4. 必要に応じて、[Generic] に切り替えて、プロバイダー以外のパターンのアラートを表示します。

  5. [Secret scanning] で、表示するアラートをクリックします。

    メモ

    漏洩したシークレットを含むリポジトリに対して管理者のアクセス許可を持つユーザーのみが、アラートのセキュリティ アラート詳細およびトークン メタデータを閲覧できます。 企業所有者は、この目的のためにリポジトリへの一時的なアクセスを要求できます。

  6. 必要に応じて、右側に表示される [Assignees] コントロールを使って、アラートを修正する担当者に割り当てます。「アラートの割り当て」を参照してください。

アラートのフィルター処理

アラート リストにさまざまなフィルターを適用し、関心のあるアラートを見つけることができます。 アラート リストの上にあるドロップダウン メニューを使用したり、テーブルにリストされた修飾子を検索バーに入力したりすることができます。

修飾子Description
bypassedプッシュ保護がバイパスされたシークレットのアラートを表示します (true)。 詳しくは、「プッシュ保護について」をご覧ください。
isオープン (open)、閉じられた (closed)、パブリック リポジトリで見つかった (publicly-leaked)、または同じ organization または Enterprise 内の複数のリポジトリで見つかった (multi-repository) アラートを表示します。
props特定のカスタム プロパティ (CUSTOM_PROPERTY_NAME) が設定されたリポジトリのアラートを表示します。 たとえば、props:data_sensitivity:high は、data_sensitivity プロパティの値が high に設定されているリポジトリの結果を表示します。
provider特定のプロバイダー (PROVIDER-NAME) (たとえば、provider:github) のアラートを表示します。 サポートされているパートナーの一覧については、「サポートされているシークレット スキャン パターン」を参照してください。
repo指定されたリポジトリ (REPOSITORY-NAME) (たとえば、repo:octo-repository) で検出されたアラートを表示します。
resolution"偽陽性" (false-positive)、"構成により非表示" (hidden-by-config)、"パターン削除済み" (pattern-deleted)、"パターン編集済み" (pattern-edited)、"取り消し済み" (revoked)、"テストで使用" (used-in-tests)、または "修正しない" (wont-fix) として閉じられたアラートを表示します。
resultsサポートされているシークレットとカスタム パターン (default)、または秘密キーなどの非プロバイダー パターン (generic) のアラートを表示します。 「サポートされているシークレット スキャン パターン」を参照してください。
secret-type特定のシークレットの種類 (SECRET-NAME) (たとえば、secret-type:github_personal_access_token) のアラートを表示します。 サポートされているシークレットの種類の一覧については、「サポートされているシークレット スキャン パターン」を参照してください。
sort最新から最も古い順 (created-desc)、最も古い順から最新 (created-asc)、最近更新順 (updated-desc)、または更新が少ない順 (updated-asc) に表示します。
team指定したチーム (たとえば team:octocat-dependabot-team) のメンバーに所有されるアラートを表示します。
topic一致するリポジトリ トピックを含むアラートを表示します (例: topic:asdf)。
validity特定の有効性 (active、inactive、または unknown) を持つシークレットのアラートを表示します。 有効性の状態の詳細については、「シークレット スキャンからのアラートの評価」を参照してください。

次のステップ

  •         [AUTOTITLE](/code-security/tutorials/remediate-leaked-secrets/evaluating-alerts)